Auftragsverarbeitungsvertrag (AVV)

Anlage 1 zu den AGB · gilt für Partnerverträge · Stand: 15.09.2026

Präambel und Parteien

Dieser Vertrag konkretisiert die Pflichten nach Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die der Auftragnehmer im Rahmen eines Partnervertrages für den Auftraggeber durchführt.

Nicht von diesem Vertrag erfasst ist die Verarbeitung, für die der Auftragnehmer selbst Verantwortlicher ist — Besucher der Kaufscan-eigenen Website sowie Vertrags- und Rechnungsabwicklung gegenüber dem Auftraggeber. Dafür gilt die Datenschutzerklärung.

§ 1 Gegenstand, Zweck und Dauer

Der Auftragnehmer stellt gebrandete öffentliche Anfrageseiten (Marktwert, Mietpreis, Dokumentencheck) sowie einen Kundenbereich zu deren Verwaltung bereit. Verarbeitet wird ausschließlich zu diesem Zweck: Erheben über Webformulare, Speichern, Ordnen, Auslesen, Bereitstellen im Kundenbereich, Übermitteln an das benannte Lead-Postfach, Löschen.

Eigene Zwecke sind ausgeschlossen: keine Nutzung der Anfragedaten für eigene Werbung, kein Training von KI-Modellen, keine Weitergabe an andere Partner.

Die Laufzeit entspricht der des Partnervertrages. § 6 (Löschung) und § 8 (Vertraulichkeit) gelten darüber hinaus fort.

§ 2 Datenarten und betroffene Personen

Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags.

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; in diesem Fall informiert er vorab, soweit das Gesetz dies nicht verbietet.
2. Die Konfiguration des Dienstes durch den Auftraggeber (Tarif, Nutzung der Anfrageseiten, Lead-Postfach, Anlegen und Entfernen von Zugängen, Bearbeiten und Löschen einzelner Anfragen) gilt als erteilte Weisung. Weitergehende Weisungen erfolgen in Textform an [email protected]. Weisungsberechtigt sind die im Kundenbereich als Inhaber geführten Personen sowie die bei Vertragsschluss benannte Kontaktperson.
3. Hält der Auftragnehmer eine Weisung für unzulässig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Bestätigung aussetzen. Weisungen über den geschuldeten Funktionsumfang hinaus sind Änderungsleistungen.

§ 4 Pflichten des Auftragnehmers

1. Vertraulichkeit — alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.
2. Sicherheit — technische und organisatorische Maßnahmen nach Art. 32 DSGVO gemäß Anhang B.
3. Betroffenenrechte — Unterstützung des Auftraggebers bei Art. 12–23 DSGVO im Rahmen des Zumutbaren. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er dies weiter und antwortet nicht selbst.
4. Art. 32–36 DSGVO — Unterstützung bei Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzungen, soweit die Informationen vorliegen.
5. Datenpannen — Meldung jeder Verletzung, die Daten des Auftraggebers betrifft, unverzüglich nach Kenntnis in Textform, mit Art, Umfang, Folgen und Gegenmaßnahmen, soweit bekannt; Fehlendes wird nachgereicht. Die Meldung an die Aufsichtsbehörde (Art. 33) obliegt dem Auftraggeber.
6. Nachweise — Bereitstellung der zum Nachweis des Art. 28 DSGVO erforderlichen Informationen und Führung eines Verzeichnisses nach Art. 30 Abs. 2 DSGVO.

§ 5 Unterauftragsverarbeiter und Drittland

1. Der Auftraggeber erteilt die allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO für Unterauftragsverarbeiter in den Kategorien der Anhang A. Die konkreten Anbieter werden ihm nach Anhang A benannt; diese Benennung ist maßgeblich für Absatz 2.
2. Über Hinzuziehung oder Austausch informiert der Auftragnehmer mindestens 30 Tage vorab in Textform. Der Auftraggeber kann binnen 30 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande und ist die Leistung ohne den Anbieter nicht zumutbar erbringbar, kann jede Partei zum Wirksamwerden der Änderung kündigen; im Voraus gezahlte Entgelte werden anteilig erstattet.
3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter auf im Wesentlichen dieselben Pflichten und haftet für deren Einhaltung.
4. Drittlandsübermittlungen finden nur statt, soweit in Anhang A ausgewiesen, und ausschließlich auf Grundlage eines Angemessenheitsbeschlusses (einschließlich EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln. Kontaktdaten der Interessenten werden nicht an das KI-Modell übermittelt — dorthin gelangen ausschließlich Inhalte hochgeladener Dokumente.

§ 6 Löschung und Rückgabe

1. Nach Vertragsende kann der Auftraggeber die gespeicherten Anfragedaten binnen 30 Tagen anfordern; die Herausgabe erfolgt einmalig, unentgeltlich und in einem gängigen elektronischen Format nach Wahl des Auftragnehmers.
2. Danach — oder nach Weisung des Auftraggebers — löscht der Auftragnehmer die für ihn verarbeiteten Daten innerhalb von 30 Tagen und bestätigt dies auf Anfrage in Textform.
3. Hochgeladene Dokumente und Berichte werden im Objektspeicher durch eine automatische Löschregel spätestens 30 Tage nach Auftragsabschluss entfernt.
4. Ausgenommen sind Daten mit gesetzlicher Aufbewahrungspflicht (insbesondere Rechnungs- und Zahlungsbelege, § 257 HGB, § 147 AO) sowie Sicherungskopien bis zur turnusmäßigen Überschreibung. Diese werden bis zum Fristablauf in der Verarbeitung eingeschränkt.

§ 7 Nachweise und Kontrollrechte

Der Auftragnehmer weist die Einhaltung vorrangig durch Anhang A, Anhang B und Nachweise seiner Unterauftragsverarbeiter nach. Reicht das nicht aus, kann der Auftraggeber nach Ankündigung mit angemessener Frist (in der Regel 30 Tage), während der üblichen Geschäftszeiten und höchstens einmal jährlich — bei konkretem Anlass auch häufiger — selbst prüfen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb stehenden Prüfer prüfen lassen. Die Prüfung darf den Geschäftsbetrieb nicht unangemessen beeinträchtigen; ihre Kosten trägt der Auftraggeber, sofern sie keine wesentlichen Mängel zutage fördert.

§ 8 Vertraulichkeit und Schlussbestimmungen

Beide Parteien behandeln erlangte Informationen vertraulich, auch über das Vertragsende hinaus. Änderungen bedürfen der Textform. Bei Widerspruch zu den AGB geht dieser Vertrag vor. Unwirksame Bestimmungen lassen die übrigen unberührt. Es gilt deutsches Recht.

Anhang A — Unterauftragsverarbeiter

Die konkret eingesetzten Anbieter benennt der Auftragnehmer dem Auftraggeber bei Vertragsschluss und jederzeit auf Anfrage in Textform unter [email protected], mit Firmierung, Sitz und Verarbeitungsort. Eine öffentliche Namensnennung erfolgt aus Gründen des Geschäftsgeheimnisses nicht.

Anhang B — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Beschrieben sind die eingerichteten Kontrollen, nicht ihre technische Umsetzung. Der Auftragnehmer darf die Umsetzung weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Eine detaillierte Darstellung stellt er dem Auftraggeber auf Anfrage zur Verfügung.